Liunx中selinux的用法

一、selinux简介

1.selinux（安全增强型linux）是可保护系统安全性的额外机制

2.作用：在某种程度上，它可以被看作是与标准权限系统并行的权限系统。
在常规模式中，以用户身份运行进程，并且系统上的文件和其他资源都设置了权限标签。（控制那些用户对那些文件具有那些访问权selinux的另一个不同之处在于，若要访问文件，你必须具有普通访问权限和selinux访问权限。因此，即使以超级用户身份root运行进程，根据进程以及文件或资源的selinux安全性上下文可能拒绝访问文件或资源限）

3.selinux的三种状态：

enforcing	强制状态
permissive	警告状态
disabled	关闭状态

4.显示selinux的状态：getenforce

5.更改selinux的状态


更改完状态要重启才能生效

6.selinux的两个级别：强制和警告

setenforce 0 —>permissive （警告）

setenforce 1 —>enforcing （ 强制）

二、selinux:安全上下文
（1）更改selinux级别
1.更改selinux的状态为disabled,重启虚拟机



2.匿名用户登录，查看家目录下的内容

3.在/mnt/下新建一个目录hello ，将/mnt/hello移动到/var/ftp下，匿名用户登录可以查看到hello

注意：mv是重命名的过程，文件的属性和权限不会改变
cp是新建的过程，文件的属性和权限会改变

4.更改selinux的状态为enforcing,重启虚拟机，查看selinux的状态是否为enforcing



5.在/mnt/下新建一个目录hello1 ，将/mnt/hello1移动到/var/ftp下，匿名用户登录查看不到hello1，因为文件的安全上下文不一致


6.更改selinux的状态为警告状态

匿名用户登录可以查看到hello1

7.更改selinux的状态为强制状态

匿名用户登录查看不到hello1

（2）改变安全上下文
要想查看到hello1就需要改变安全上下文
1.查看/var/ftp的安全上下文的类型

注意：ls -Z 查看文件的安全上下文
ls -Zd 查看目录的安全上下文
/var/ftp是lftp的默认发布目录，它默认的安全上下文是public_content_t
2.临时更改安全上下文

3.测试：匿名用户登录可以查看到hello1

（3）临时更改安全上下文
1.查看/westos目录的安全上下文


2.编辑配置文件，设定匿名用户登录的家目录为/westos,一定要重启目录


3.测试：匿名用户登录无法访问/westos下的内容

4.查看/westos目录的安全上下文并且更改安全上下文，更改完后再次查看，安全上下文类型改变为public_content_t

5.测试：匿名用户登录可以访问/westos下的内容

6.更改selinux的状态为disabled,重启虚拟机


7.更改selinux的状态为enforcing,重启虚拟机

8.重启虚拟机后查看安全上下文，安全上下文变为默认的，即这种修改方式是临时的

测试临时：更改selinux的状态为enforcing---->disabled—>enforcing
（4）永久更改安全上下文
1.修改/westos和底下所有文件的安全上下文，递归刷新并显示刷新过程

测试：匿名用户登录可以访问/westos下的内容

/westos(/.*)? 表示对文件本身和里面所有文件，包括隐藏文件
-a 表增加
-t 表示设置安全上下文的类型为public_content_t
查看上下文列表：semanage fcontext -l | grep  westos

三、管理selinux布尔值
（1）本地用户上传
1.本地用户登录，上传文件失败报553错误

2.查看ftp相关功能状态，本地用户上传功能没有开启

3.开启本地用户上传功能，本地用户登录上传文件成功

（2）匿名用户上传
1.匿名用户登录，上传文件失败，报553错误

2.修改pub权限

测试：匿名用户再次登录，上传文件失败

3.查看ftp相关功能状态，匿名用户可写功能没有开启

4.开启匿名用户可写功能

测试：匿名用户登录，上传文件失败

5.给匿名用户的安全上下文类型添加读写权力，递归刷新并显示刷新过程

测试：匿名用户登录，上传文件成功

四、selinux的报错以及排错方法

1.删除/var/ftp/pub/目录，再新建/var/ftp/pub/目录，查看目录的安全上下文

2.更改目录的权限

3.清空日志文件，匿名用户上传文件失败报553错误

4.selinux报错日志/var/log/audit/audit.log中会有报错信息产生

查看/var/log/messages日志，日志文件中有报错的解决办法

 cat /var/log/messages

5.查看selinux排错工具软件包

6.删除setroubleshoot-server软件

7.清空日志进行测试

8.selinux报错日志/var/log/audit/audit.log中仍会有报错 但/var/log/messages就不会有报错的解决方法


8.查找软件包并安装

9.selinux报错日志/var/log/audit/audit.log中会有报错信息产生

查看/var/log/messages日志，日志文件中有报错的解决办法

[root@server_sshd ~]# cat /var/log/messages